Coletar registros do IBM CICS

Compatível com:

Este documento explica como ingerir registros do IBM CICS no Google Security Operations usando o agente Bindplane.

O IBM CICS (Customer Information Control System) é uma plataforma de processamento de transações para aplicativos de mainframe. Ele gera registros de auditoria para execução de transações, acesso a recursos, violações de segurança e eventos do sistema. Os registros usam o formato LEEF e capturam a identidade do usuário, os detalhes da transação e os atributos da rede de origem.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • Windows Server 2016 ou mais recente ou host Linux com systemd
  • Conectividade de rede entre o agente do Bindplane e o host encaminhador de registros do CICS
  • Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso privilegiado à região do IBM CICS ou ao sistema de mainframe com autoridade para configurar a gravação do SMF e a exportação de registros

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão.

  4. Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.

  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

    O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

    O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/ibm_cics:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: IBM_CICS
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/cics_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/ibm_cics

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • tcplog: o tipo de receptor com base no protocolo:
      • udplog para syslog UDP
      • tcplog para syslog TCP
    • 0.0.0.0: endereço IP para escutar:
      • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
      • Endereço IP específico para detectar em uma interface
    • 514: número da porta para escutar (por exemplo, 514, 1514, 6514)

  • Configuração do exportador:

    • ibm_cics: nome descritivo do exportador
    • creds_file_path: caminho completo para o arquivo de autenticação de ingestão:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>: ID do cliente da etapa anterior
    • endpoint: URL do endpoint regional:
      • EUA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulte a lista completa em Endpoints regionais.
    • IBM_CICS: tipo de registro exatamente como aparece no Chronicle
    • ingestion_labels: rótulos opcionais no formato YAML (por exemplo, env: production)

  • Configuração do pipeline:

    • cics_to_chronicle: nome descritivo do pipeline.

Salvar o arquivo de configuração

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, Enter e Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifique se o serviço está em execução:

      sudo systemctl status observiq-otel-collector

    2. Verifique se há erros nos registros:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar o agente do Bindplane em Windows, escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console de serviços:

      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o Coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

      4. Verifique se o serviço está em execução:

        sc query observiq-otel-collector

      5. Verifique se há erros nos registros:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o encaminhamento de syslog do IBM CICS

O IBM CICS grava dados de auditoria e transação em registros SMF (System Management Facilities) no mainframe. Para encaminhar esses registros ao agente do Bindplane usando syslog, use um encaminhador syslog em um host de middleware.

  1. Identifique os tipos de registros SMF que contêm dados do CICS (normalmente o tipo 110 do SMF).
  2. Use um utilitário de mainframe, como DFHSTUP (programa utilitário de estatísticas do CICS) ou programas de despejo do SMF, para extrair os registros relevantes.
  3. Converta os registros SMF extraídos para o formato LEEF usando o IBM CICS Performance Analyzer, um script REXX personalizado ou uma solução ETL de terceiros.
  4. Configure o encaminhador syslog no host do middleware para enviar os registros convertidos ao agente do Bindplane:
    • Servidor Syslog: insira o endereço IP do host do agente Bindplane (por exemplo, 192.168.1.100).
    • Porta: insira 514 (precisa corresponder à porta do receptor do agente do Bindplane).
    • Protocolo: selecione TCP (recomendado para entrega confiável de registros do mainframe).
    • Formato: verifique se o formato LEEF está sendo usado.

  5. Verifique se as mensagens do syslog estão sendo recebidas conferindo os registros do agente do Bindplane.

Tabela de mapeamento de UDM

Campo de registro Mapeamento do UDM Lógica
kv.sum metadata.description Renomeado/mapeado
kv.devTime metadata.event_timestamp Analisado como yyyy-MM-ddTHH:mm:ss.SSSZ
event_type metadata.product_event_type Renomeado/mapeado
version metadata.product_version Renomeado/mapeado
kv.terminal principal.hostname Mapeado diretamente
kv.src principal.ip Mesclado
firstname principal.user.first_name Renomeado/mapeado
lastname principal.user.last_name Renomeado/mapeado
kv.name principal.user.user_display_name Renomeado/mapeado
kv.usrName principal.user.userid Renomeado/mapeado
kv.appl target.application Renomeado/mapeado
kv.tran target.process.product_specific_process_id Mapeado diretamente
N/A metadata.event_type Constante: PROCESS_UNCATEGORIZED
N/A metadata.product_name Constante: CICS
N/A metadata.vendor_name Constante: IBM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.